Fgetss

Um problema de falsificação de solicitação cross-site existe onde a função `checkCsrf()` em admin/controller/base.php valida tokens apenas para solicitações POST. Isso permite que invasores enganem um administrador autenticado para executar solicitações GET forjadas para realizar ações de alteração de estado, como excluir contas de usuário, sites, pedidos e menus, ou modificar status de comentários.

Um problema de cross-site scripting armazenado existe onde usuários com privilégios baixos de autor ou vendedor podem injetar scripts ao ignorar a lista negra de regex na função `sanitizeHTML()`. Isso permite que invasores salvem conteúdo de postagens ou produtos contendo tags de manipuladores de eventos não fechadas ou entidades `javascript:`, que são executadas para visitantes anônimos e administradores, permitindo potencialmente o roubo de sessões ou tokens CSRF.

Um problema de execução remota de código permite que usuários com funções `site admin` restritas injetem código PHP ao salvar arquivos `.sql` através do editor de código do administrador. Isso é feito utilizando um payload de macro `@IF` para ignorar as listas de negação de extensões e conteúdo. Quando o modelo é carregado, o payload é compilado em PHP executável, permitindo a execução de comandos do sistema operacional com os privilégios do usuário da web.